网络流量异常监测方法及电子设备与流程
本申请涉及网络安全监控技术领域，更具体涉及网络流量异常监测方法及电子设备。
背景技术：
网络安全要求越来越高，可以通过监测网络流量来判断网络环境是否安全。
目前，监测网络流量的方法是依据历史网络流量，人为规定合理阈值，若当前网络流量大于该阈值，则确定当前网络流量异常。
由于网络流量的监控是基于历史网络流量，所以无法监测新的网络环境或变更后的网络流量是否异常。
技术实现要素：
有鉴于此，本发明提供了一种网络流量异常监测方法及电子设备，以克服现有技术中由于网络流量的监控是基于历史网络流量，所以无法监测新的网络环境或变更后的网络流量是否异常的问题。
为实现上述目的，本发明提供如下技术方案：
一种网络流量异常监测方法，包括：
获取各时刻对应的流量值；
依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势；
从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻；
依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；
返回步骤从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻，直至循环次数与所述至少两个时刻的数目相等，其中，不同循环次数中确定的假设异常时刻不同；
将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率；
依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
一种电子设备，包括：
第一获取模块，用于获取各时刻对应的流量值；
第二获取模块，用于依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势；
第一确定模块，用于从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻；
第三获取模块，用于依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；
返回模块，用于返回所述第一确定模块，直至循环次数与所述至少两个时刻的数目相等，其中，不同循环次数中确定的假设异常时刻不同；
第四获取模块，用于将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率；
第二确定模块，用于依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
一种电子设备，包括：
存储器，用于存储程序；
处理器，用于执行所述程序，所述程序具体用于：
获取各时刻对应的流量值；
依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势；
从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻；
依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；
返回步骤从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻，直至循环次数与所述至少两个时刻的数目相等，其中，不同循环次数中确定的假设异常时刻不同；
将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率；
依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
经由上述的技术方案可知，与现有技术相比，本发明实施例提供了一种网络流量异常监测方法，获取各时刻对应的流量值，以及流量值随时间变化的第一流量趋势；从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻，对于每次循环中假设的假定异常时刻执行以下步骤，依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；当循环次数等于所述至少两个时刻的数目时，循环结束，然后将不同循环次数对应的同一时刻的异常概率相加，获取各时刻对应的网络流量异常概率；然后，依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。在确定目标网络流量异常时刻的过程中，是将各时刻进行比较，不是与历史网络流量进行比较，所以可以监测新的网络环境或变更后的网络流量是否异常。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请实施例提供的一种网络流量异常监测方法的流程图；
图2为本申请实施例提供的依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率的一种实现方式的方法流程图；
图3为本申请实施例提供的一种电子设备的结构图；
图4为本申请实施例提供的电子设备的内部结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
随着internet的发展，网络流量飞速增长，互联网已成为不可或缺的信息载体。与此同时，网络流量也经常会出现偏离正常范围的异常流量，主要是由蠕虫传播、dos攻击、ddos攻击、僵尸网络等恶意网络攻击行为以及网络配置失误、偶发性线路中断等引起。这些异常流量往往会导致整个网络服务质量急剧下降，使受害端主机、网络直接瘫痪。因此，如何在网络环境下进行网络异常检测，对保障网络正常运行具有重要意义。
目前的网络流量异常监测方法，是根据网络流量历史数据确定出网络流量的正常范围；在正常运行过程中，将各时刻的流量值与正常范围进行比较，若流量值超出正常范围则认为该时刻为网络流量异常时刻。但是，若网络环境发生变化，网络流量的正常范围也会发生变化，由于在网络环境变化后的初期，是没有网络流量历史数据的，因此，这段时间无法对网络流量进行监测。因此，只要发生网络环境变更或出现新的网络环境，在积攒网络流量历史数据的初期，都无法进行网络异常检测，因此，存在很大的安全隐患。
为此，本申请实施例提供了一种网络流量异常监测方法，通过比较实时获取的各时刻对应的流量值，获取各时刻可能是网络流量时刻的网络流量异常概率；然后基于各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。无需基于网络流量历史数据，因此，可以适用于任何网络环境。也可以应用于变更的网络环境或新的网络环境，从而在网格环境的各个阶段均可进行网络流量异常监测。
如图1所示，为本申请实施例提供的一种网络流量异常监测方法的流程图，该方法包括：
步骤s101：获取各时刻对应的流量值。
优选的，步骤s101是实时获取各时刻对应的流量值。各时刻对应的流量值是在正常运行中实时产生的真实的流量值。
步骤s102：依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势。
第一流量趋势用于表征流量值随时间变化的规律。
由于需要获取流量值随时间变化的第一流量趋势，因此获得的各时刻对应的流量值的个数越多，计算得出的第一流量趋势越准确。
假设各时刻总共包括n个时刻，n为任意正整数，优选的，n大于或等于30。
假设，n＝50，且各时刻分别为时刻y1、时刻y2，…，时刻y50；各时刻分别对应的流量值为：1000、1000、1000、5000、1000、1000、1000、1000、1000、1000，…，1000；仅有时刻y4对应的流量值为5000，其他时刻对应的流量值均为1000。
通过各时刻对应的流量值可以看出流量值随时间变化的第一流量趋势接近直线。通过第一流量趋势可以大致推段出两种结果，一种是时刻y4为网络流量异常时刻；一种是除时刻y4外，其他时刻均为网络流量异常时刻。
步骤s103：从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻。
步骤s104：依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率。
为了从多种可能的情况中确定出最可能的结果，例如从两个推段结果中确定最可能的结果，需要设置假设异常点。仍以n＝50的例子进行说明，假设“至少两个时刻”包括时刻y2和时刻y4；时刻y2对应的流量值为1000，时刻y4对应的流量值为5000。假设，在第一次循环过程中，假设时刻y2对应的流量值1000为网络流量异常值，即时刻y2为假设异常时刻。那么与时刻y2对应的流量值1000在第一流量趋势中具有相同特点的时刻为网络流量异常时刻的概率就较大；与时刻y2对应的流量值1000在第一流量趋势中具有相异特点的时刻为网络流量异常时刻的概率就小。
若时刻y2对应的流量值1000是网络流量异常值，则除时刻y4外，其他时刻为网络流量异常时刻的概率就很大。而时刻y4为网络流量异常时刻的概率就很小。再如，若假设时刻y4对应的流量值5000为网络流量异常时刻，则其他时刻为网络流量异常时刻的概率就很小。
综上，各时刻为网络异常时刻的概率的大小与假设哪个时刻为假设异常时刻非常相关。又由于在不知道哪个时刻为网络流量异常时刻的情况下，各时刻均有可能为网络流量异常时刻，因此，优选的，步骤s103中至少两个时刻包含的时刻数目h＝n。
步骤s105：判断当前循环次数与所述至少两个时刻的数目是否相等；若相等，则执行步骤s106，否则返回步骤s103。
其中，不同循环次数中确定的假设异常时刻不同。
假设至少两个时刻包含的时刻的数目为h，则循环次数为h次，每次循环假设异常时刻不同，例如，第一次循环，时刻y2可能为假设异常时刻；第二次循环中时刻y4可能为假设异常时刻。
步骤s106：将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率。
为了便于理解，下面举例说明，为了列举方便，下面以h＝3，n＝5为例进行说明。
假设各时刻分别为：时刻y1、时刻y2、时刻y3、时刻y4、时刻y5；至少两个时刻分别为时刻y2、时刻y3以及时刻y4。
在第一次循环中，假设时刻y2为网络流量异常时刻，获得的时刻y1对应的异常概率为0.09、时刻y2对应的异常概率为1、时刻y3对应的异常概率为0.3；时刻y4对应的异常概率为0.2；时刻y5对应的异常概率为0.4；在第二次循环中，假设时刻y3为网络流量异常时刻，获得的时刻y1对应的异常概率为0.2、时刻y2对应的异常概率为0.1、时刻y3对应的异常概率为1；时刻y4对应的异常概率为0.2；时刻y5对应的异常概率为0.4；在第三次循环中，假设时刻y4为网络流量异常时刻，获得的时刻y1对应的异常概率为0.3、时刻y2对应的异常概率为0.2、时刻y3对应的异常概率为0.1；时刻y4对应的异常概率为1；时刻y5对应的异常概率为0.4；则各时刻对应的网络流量异常概率p(yl)(l＝1,2,3,4,5)分别为：
p(y1)＝0.09+0.2+0.3＝0.59；p(y2)＝1+0.1+0.2＝1.3；p(y3)＝0.3+1+0.1＝1.4；p(y4)＝0.2+0.2+1＝1.4；p(y5)＝0.4+0.4+0.4＝1.2。
步骤s107：依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
由于有的时刻对应的网络流量异常概率可能大于1，因此，可以对各时刻对应的网络流量异常概率进行归一化，使得各时刻对应的网络流量异常概率均小于1。
步骤s107可以具体包括：从各时刻中，确定大于或等于预设阈值的网络流量异常概率对应的目标时刻；将所述目标时刻确定为所述目标网络流量异常时刻。
本发明实施例提供了一种网络流量异常监测方法，获取各时刻对应的流量值，以及流量值随时间变化的第一流量趋势；从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻，对于每次循环中假设的假定异常时刻执行以下步骤，依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；当循环次数等于所述至少两个时刻的数目时，循环结束，然后将不同循环次数对应的同一时刻的异常概率相加，获取各时刻对应的网络流量异常概率；然后，依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。在确定目标网络流量异常时刻的过程中，是将各时刻进行比较，不是与历史网络流量进行比较，所以可以适用于任何网络环境。
本申请实施例提供的“依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势”包括：依据各时刻对应的流量值，获取各流量值符合的概率分布规律。分布规律可以为分布模型。
针对网络流量的具体特征可以选取一种合适的分布模型拟合局部网络流量(步骤s101中各时刻对应的流量值为局部网络流量)，该分布模型必须能够描述局部网络流量时间序列的特征并且分布模型必须通过局部网络流量的分布拟合检验，比如通用的皮尔逊检验法等，以及针对特定分布模型的检验方法，例如正太分布的w检验、d检验。一些常用的分布模型例如：poisso分布模型、正太分布模型等都可以用来对局部网络流量进行拟合。
如图2所示，为本申请实施例提供的依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率的一种实现方式的方法流程图，该方法包括：
步骤s201：将所述假定异常时刻确定为时间切分点。
步骤s202：依据所述时间切分点，将各时刻对应的流量值划分为第一流量组合以及第二流量组合；其中，所述第一流量组合包括小于或等于所述时间切分点的时刻对应的流量值，所述第二流量组合包括大于所述时间切分点的时刻对应的流量值。
步骤s203：基于所述第二流量组合包含的流量值随时间变化的第二流量趋势，确定各时刻对应的流量值为网络流量异常值的异常概率。
可以理解的是，在运行过程中，大部分流量值处于相对平稳状态，但会有不定时的尖刺流量值产生；这些尖刺流量值被称为突刺型数据。突刺型数据即为发生异常的流量值。
步骤s203可以具体包括：
一、获取在所述假定异常时刻为网络流量异常点的情况下，所述第二流量组合包含的各时刻分别对应的流量值同时发生的联合概率。
假设，n个时刻分别为：y1,y2,...,yn；假设在这n个时刻中出现了m个网络异常点，将这m个网络异常点称为变点(changepoint)，假设这m个变点分别为：第一个网络异常点(或第一个变点)、第二个网络异常点(或第二个变点)，…，第m个网络异常点(或，第m个变点)，假设这m个网络异常点发生的时刻分别为τ1,τ2,…,τm；其中，0＜τ1＜τ2＜…＜τm，1≤m≤n，τ1,τ2,…,τm∈[y1,y2,...,yn]。
假设假定异常时刻t为变点，则下一时刻直至最后一个时刻之间所有流量值同时出现的概率即为联合概率q(t)的计算公式可以如下；本申请实施例提供但不限于以下计算公式：
pr(yt:n,nofutherchangepoint)＝p(t,n)(1-g(n-t))。
其中，g(t)表示两个连续变点之间时间间隔为t的概率；
其中，可以使用负二项分布计算g(t)，假设变点发生的概率为p，在时间t内恰好出现2次的概率的计算公式如下：
二、基于所述联合概率以及所述假定异常时刻对应的流量值，确定第j个网络异常点分别发生在第三流量组合中各时刻的概率，所述第三流量组合包含n个时刻中排序大于或等于j的时刻对应的流量值，j的取值从1至n。
下面以计算第1个网络异常点τ1分别发生在第三流量组合中时刻t的概率pcp(1,t)为例进行说明，本申请实施例提供但不限于以下公式：
pr(τj|τj-1,y1:n)＝p(τj-1+1,τj)q(τj+1)g(τj-τj-1)/q(τj-1+1)
通过上述公式进而可以求出概率pcp(j,t)，即第j个网络异常点发生在时刻t的概率。
三、将同一时刻为网络异常点的概率相加，获得各时刻分别对应的异常概率。
一个时刻t对应的异常概率＝pcp(1,t)+pcp(2,t)+pcp(3,t)+pcp(4,t)+,...,+pcp(m,t)。
本申请实施例中限定“确定第j个网络异常点分别发生在第三流量组合中各时刻的概率”是因为：前j-1个时刻对应的流量值，可能为第1个网络异常点或第2个网络异常点，..，或第j-1个网络异常点发生的时刻，不可能为第i个网络异常点发生的时刻，因此，第j个网络异常点发生在第1至第j-1时刻的概率为0，所以只需要计算第j个网络异常点分别发生在第三流量组合中各时刻的概率即可。
本申请实施例还提供了包含与网络流量异常检测方法对应的虚拟装置的电子设备，如图3所示，为本申请实施例提供的一种电子设备的结构图，该电子设备包括：
第一获取模块31，用于获取各时刻对应的流量值；
第二获取模块32，用于依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势；
第一确定模块33，用于从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻；
第三获取模块34，用于依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；
返回模块35，用于返回所述第一确定模块33，直至循环次数与所述至少两个时刻的数目相等，其中，不同循环次数中确定的假设异常时刻不同；
第四获取模块36，用于将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率；
第二确定模块37，用于依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
可选的，所述第三获取模块34包括：
第一确定单元，用于将所述假定异常时刻确定为时间切分点；
划分单元，用于依据所述时间切分点，将各时刻对应的流量值划分为第一流量组合以及第二流量组合；其中，所述第一流量组合包括小于或等于所述时间切分点的时刻对应的流量值，所述第二流量组合包括大于所述时间切分点的时刻对应的流量值；
第二确定单元，用于基于所述第二流量组合包含的流量值随时间变化的第二流量趋势，确定各时刻对应的流量值为网络流量异常值的异常概率。
可选的，所述各时刻包括n个时刻，n为大于预设值的正整数，所述第二确定单元包括：
第一获取子单元，用于获取在所述假定异常时刻为网络流量异常点的情况下，所述第二流量组合包含的各时刻分别对应的流量值同时发生的联合概率；
第一确定子单元，用于基于所述联合概率以及所述假定异常时刻对应的流量值，确定第j个网络异常点分别发生在第三流量组合中各时刻的概率，所述第三流量组合包含n个时刻中排序大于或等于j的时刻对应的流量值，j的取值从1至n；
第二获取子单元，用于将同一时刻为网络异常点的概率相加，获得各时刻分别对应的异常概率。
可选的，第二获取模块32具体用于：
依据各时刻对应的流量值，获取各流量值符合的概率分布规律。
可选的，所述第二确定模块37包括：
第三确定单元，用于从各时刻中，确定大于或等于预设阈值的网络流量异常概率对应的目标时刻；
第四确定单元，用于将所述目标时刻确定为所述目标网络流量异常时刻。
本申请实施例还提供了一种电子设备的内部结构，如图4所示，为本申请实施例提供的电子设备的内部结构图，该电子设备可以为智能手机、服务器、计算机等终端设备，电子设备可以包括：
存储器41，用于存储程序；
程序可以包括程序代码，所述程序代码包括计算机操作指令。
存储器41可能包含高速ram存储器，也可能还包括非易失性存储器(non-volatilememory)，例如至少一个磁盘存储器。
处理器42，用于执行所述程序，所述程序具体用于：
获取各时刻对应的流量值；
依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势；
从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻；
依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率；
返回步骤从属于各时刻的至少两个时刻中确定假设异常点对应的假设异常时刻，直至循环次数与所述至少两个时刻的数目相等，其中，不同循环次数中确定的假设异常时刻不同；
将不同循环次数中属于同一时刻的异常概率相加，获取各时刻分别对应的网络流量异常概率；
依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻。
处理器42可能是一个中央处理器cpu，或者是特定集成电路asic(applicationspecificintegratedcircuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。
电子设备还可以包括通信接口43以及通信总线44，其中，存储器41、处理器42以及通信接口43通信均通过通信总线44实现相互间的通信。
可选的，所述处理器在执行依据所述第一流量趋势，获取在所述假设异常时刻对应的流量值为网络流量异常值的情况下，各时刻对应的流量值为网络流量异常值的异常概率时，具体用于：
将所述假定异常时刻确定为时间切分点；
依据所述时间切分点，将各时刻对应的流量值划分为第一流量组合以及第二流量组合；其中，所述第一流量组合包括小于或等于所述时间切分点的时刻对应的流量值，所述第二流量组合包括大于所述时间切分点的时刻对应的流量值；
基于所述第二流量组合包含的流量值随时间变化的第二流量趋势，确定各时刻对应的流量值为网络流量异常值的异常概率。
可选的，所述各时刻包括n个时刻，n为大于预设值的正整数，所述处理器在执行基于所述第二流量组合包含的流量值随时间变化的第二流量趋势，确定各时刻对应的流量值为网络流量异常值的异常概率时，具体用于：
获取在所述假定异常时刻为网络流量异常点的情况下，所述第二流量组合包含的各时刻分别对应的流量值同时发生的联合概率；
基于所述联合概率以及所述假定异常时刻对应的流量值，确定第j个网络异常点分别发生在第三流量组合中各时刻的概率，所述第三流量组合包含n个时刻中排序大于或等于j的时刻对应的流量值，j的取值从1至n；
将同一时刻为网络异常点的概率相加，获得各时刻分别对应的异常概率。
可选的，处理器在执行依据各时刻对应的流量值，获取流量值随时间变化的第一流量趋势时，具体用于：
依据各时刻对应的流量值，获取各流量值符合的概率分布规律。
可选的，所述处理器在执行依据各时刻对应的网络流量异常概率，从各时刻中确定目标网络流量异常时刻时，具体用于：
从各时刻中，确定大于或等于预设阈值的网络流量异常概率对应的目标时刻；
将所述目标时刻确定为所述目标网络流量异常时刻。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
- 还没有人留言评论。精彩留言会获得点赞！